Hinkal-Exploit: Wie ein Zero-Knowledge-Fehler 820.000 USDC aus einem Privacy-Protokoll abfließen ließ

Bereits frühere Untersuchungen hatten auf ähnliche Risiken hingewiesen. Ein ZkSecurity-Audit von Hinkals Schaltkreisen hatte potenzielle Probleme mit Double-Spending durch Nullifier-Fehler und unzureichende Validierung privater Schlüssel festgestellt . Quantstamps Prüfung hatte informationelle Bedenken geäußert, dass leere Blattknoten auf Commitments ungleich Null abbilden – das Protokoll hatte dies vor dem Exploit zur Kenntnis genommen . Diese Befunde zeigen die Lücke zwischen theoretischen Audit-Ergebnissen und tatsächlich ausnutzbaren On-Chain-Schwachstellen.

Geldwäsche

Nach dem Exploit tauschte der Angreifer die gestohlenen USDC in Ether und bewegte die Gelder über Tornado Cash und THORChain, um die Spur zu verschleiern . On-Chain-Daten zeigen, dass 410 ETH (ca. 700.000 US-Dollar) bei Tornado Cash eingezahlt wurden und weitere 44,7 ETH von Ethereum zu einer Bitcoin-Adresse über THORChain gebrückt wurden .

Sicherheitsfirmen, die den Vorfall bestätigten

• CertiK meldete den Angriff als Erster über sein On-Chain-Alarmsystem und berichtete über die verdächtigen Transaktionen und einen geschätzten Verlust von 800.000 US-Dollar .
• PeckShieldAlert bestätigte den Exploit und die Schätzung von 820.000 US-Dollar .
• Der unabhängige Sicherheitsforscher Specter machte den Vorfall ebenfalls öffentlich; Nachrichtenportale berichteten breit darüber .

Zum Zeitpunkt der Berichterstattung hatte Hinkal kein bestätigtes Post-Mortem, keine Exploit-Transaktionsaufschlüsselung oder Ursachenerklärung veröffentlicht .

Der weitere DeFi-Sicherheitskontext im Jahr 2026

Der Hinkal-Exploit ist einer von vielen Vorfällen in einer breiten Welle von Krypto-Hacks im Jahr 2026. Laut TRM Labs war das erste Halbjahr 2026 mit 207 separaten Hacks der sechsmonatige Zeitraum mit den meisten Vorfällen, der je verzeichnet wurde – obwohl die Gesamtverluste mit 972 Millionen US-Dollar weniger als halb so hoch waren wie die 2,3 Milliarden US-Dollar im Vorjahreszeitraum . Die reine Anzahl der Angriffe stieg drastisch an .

Allein nordkoreanische Hackergruppen erbeuteten im ersten Halbjahr 2026 643 Millionen US-Dollar – das entspricht etwa zwei Dritteln aller weltweiten Krypto-Diebstähle . Das zweite Quartal 2026 (etwa 746 Millionen US-Dollar Verlust bei rund 70 Exploits) stellte den Rekord für das quartalsweise am häufigsten gehackte DeFi auf . Der Total Value Locked (TVL) im DeFi-Sektor fiel von rund 115 Milliarden US-Dollar im Januar 2026 auf etwa 70 Milliarden US-Dollar Ende Juni – auch eine Folge der anhaltenden Hackerwelle .

Was das für ZK-basierte Protokolle bedeutet

Der Hinkal-Exploit ist ein Paradebeispiel für einen ZK-Verifikationslogikfehler – eine Schwachstelle, die mit der zunehmenden Verbreitung von Zero-Knowledge-Proofs für Privacy und Skalierung immer teurer wird . Anders als herkömmliche Smart-Contract-Bugs hebeln ZK-Schaltkreisfehler die grundlegende Sicherheitsannahme aus, dass mathematische Beweise nicht fälschbar sind . Ist ein Verifikator-Schaltkreis falsch konfiguriert, entsteht nicht nur ein Exploit – es entsteht eine mathematisch gültige Möglichkeit, das Protokoll zu belügen . Für Entwickler bedeutet das: ZK-Verifikationslogik erfordert spezialisierte Audits, die über herkömmliche Smart-Contract-Prüfungen hinausgehen. Selbst Protokolle mit mehreren vorherigen Audits können kritische Bypass-Fehler enthalten .